Serverversie zichtbaar

Waarom het belangrijk is

Bots scannen het web naar servers met een versie die een bekende kwetsbaarheid heeft. De versienummer weglaten lost een kwetsbaarheid niet op, maar maakt je site wel minder makkelijk vindbaar in zo’n zoekopdracht.

Hoe Snaglist dit controleert

Dit hoort bij de veiligheidscheck, een eigen check naast de crawl, in Studio en Bureau, en alleen op een site die je hebt geverifieerd. Snaglist kijkt alleen naar wat elke bezoeker van buitenaf kan zien. Hij logt nooit in, raadt geen wachtwoorden en stuurt geen aanvallen. Hij leest de Server- en X-Powered-By-headers van de homepage en meldt ze als ze een versienummer bevatten.

Veelvoorkomende oorzaken

• De serverinstellingen tonen standaard de versie
• PHP voegt X-Powered-By toe met zijn versie
• De host heeft de standaardinstellingen nooit gewijzigd

Hoe je het oplost

1. Vraag de host om het versienummer te verbergen, met server_tokens off en expose_php off.
2. Op je eigen server wijzig je die instellingen zelf.
3. Houd de software up-to-date. Het verbergen van de versie is geen vervanging.
4. Draai de veiligheidscheck opnieuw ter controle.

Zo staat het in het rapport

In het rapport voor je klant staat dit onder de kop "Je server vertelt welke software en versie hij draait". Is alles in orde, dan meldt het rapport: "De server noemt geen versienummer".